4년 만에 손보사 인수 카드 꺼내신한EZ손보와 통합해 시너지‘1위’ KB와 순익 격차 불과 4419억보험 경쟁력 키워 ‘역전 발판’ 마련 신한금융지주가 롯데손해보험을 인수해 리딩금융 탈환에 도전한다. KB금융에 뒤처진 보험 부문을 키워 순이익 격차를 좁히겠다는 구상이다. 신한금융은 13일 롯데손보 최대주주인 사모펀드(PEF) 운용사 JKL파트너스가 보유한 롯데손보 지분 77.04%를 6933억원에 인수하는 주식매매계약(SPA)을 체결했다. JKL이 희망한 약 1조원보다 낮은 가격으로, JKL은 2019년 인수 이후 7년 만에 투자금 회수에 나서게 됐다. 앞서 2024년 우리금융과 하나금융 등도 롯데손보 인수를 검토한 바 있다. 신한금융은 롯데손보를 100% 자회사로 편입해 기존 손해보험사인 신한EZ손보와 통합, 시너지를 내겠다는 계획이다. 이번 인수는 외부 조달 없이 그룹이 보유한 자본을 재배치하는 방식으로 이뤄진다. 나머지 지분 22.96%는 금융당국 승인 등 필요한 절차를 거쳐 추가로 확보할 계획이다. 잔여 지분은 호텔롯데(5.02%), 우리사주조합(1.46%), 소액주주 등 기타 주주(16.48%)가 보유하고 있다. 신한금융의 인수 소식이 알려지자 롯데손보는 장중 15.45% 오른 2690원까지 뛰었다가 7.94% 상승한 2515원에 마감했다. 향후 신한금융이 소액주주를 대상으로 공개매수 또는 주식교환을 진행해 롯데손보 종목은 상장폐지 수순을 밟을 것으로 보인다. 이번 인수는 신한금융이 취약한 손해보험 사업을 보강하려는 전략적 선택이다. 2022년 BNP파리바카디프손보를 인수해 출범시킨 신한EZ손보는 디지털 중심 성장 전략에도 영업 기반을 충분히 넓히지 못해 올 상반기 182억원의 순손실을 냈다. 신한금융은 이번 인수를 통해 설계사를 통한 대면 판매가 중요한 보험시장에서 롯데손보의 영업망과 334만 고객을 활용하겠다는 구상이다. 신한금융은 롯데손보의 보험계약마진(CSM)이 상반기 기준 약 2조 2000억원이라는 점에서 성장 여력이 있다고 보고 있다. CSM은 기존 보험계약에서 앞으로 발생할 것으로 예상되는 이익을 뜻한다. 다만 당장 실현된 이익은 아니어서 향후 보험금 지급과 계약 유지 등을 얼마나 안정적으로 관리하느냐가 중요하다. 리딩금융 경쟁에서 보험은 선두 KB금융과의 차이를 만드는 핵심 부문이다. 상반기 KB금융의 순이익은 3조 8846억원으로 신한금융(3조 4427억원)보다 4419억원 많았다. 같은 기간 KB라이프와 KB손보의 합산 순이익은 6204억원으로, 신한라이프와 신한EZ손보의 합산 실적보다 약 3480억원 앞섰다. 신한은행이 KB국민은행보다 많은 이익을 내는 상황에서 보험 부문의 격차를 줄이면 그룹 순위도 바뀔 수 있다는 계산이다. 신한금융은 “통합 과정에서 기존 보험계약과 고객 서비스를 안정적으로 유지하고, 임직원·설계사 등 현장 인력과 충분히 소통해 고용 안정을 도모하겠다”고 밝혔다.

신한금융지주가 롯데손해보험을 인수해 리딩금융 탈환에 도전한다. KB금융에 뒤처진 보험 부문을 키워 순이익 격차를 좁히겠다는 구상이다. 신한금융은 13일 롯데손보 최대주주인 사모펀드(PEF) 운용사 JKL파트너스가 보유한 롯데손보 지분 77.04%를 6933억원에 인수하는 주식매매계약(SPA)을 체결했다. JKL이 희망한 약 1조원보다 낮은 가격으로, JKL은 2019년 인수 이후 7년 만에 투자금 회수에 나서게 됐다. 앞서 2024년 우리금융과 하나금융 등도 롯데손보 인수를 검토한 바 있다. 신한금융은 롯데손보를 100% 자회사로 편입해 기존 손해보험사인 신한EZ손보와 통합, 시너지를 내겠다는 계획이다. 이번 인수는 외부 조달 없이 그룹이 보유한 자본을 재배치하는 방식으로 이뤄진다. 나머지 지분 22.96%는 금융당국 승인 등 필요한 절차를 거쳐 추가로 확보할 계획이다. 잔여 지분은 호텔롯데(5.02%), 우리사주조합(1.46%), 소액주주 등 기타 주주(16.48%)가 보유하고 있다. 신한금융의 인수 소식이 알려지자 롯데손보는 장중 15.45% 오른 2690원까지 뛰었다가 7.94% 상승한 2515원에 마감했다. 향후 신한금융이 소액주주를 대상으로 공개매수 또는 주식교환을 진행해 롯데손보 종목은 상장폐지 수순을 밟을 것으로 보인다. 이번 인수는 신한금융이 취약한 손해보험 사업을 보강하려는 전략적 선택이다. 2022년 BNP파리바카디프손보를 인수해 출범시킨 신한EZ손보는 디지털 중심 성장 전략에도 영업 기반을 충분히 넓히지 못해 올 상반기 182억원의 순손실을 냈다. 신한금융은 이번 인수를 통해 설계사를 통한 대면 판매가 중요한 보험시장에서 롯데손보의 영업망과 334만 고객을 활용하겠다는 구상이다. 신한금융은 롯데손보의 보험계약마진(CSM)이 상반기 기준 약 2조 2000억원이라는 점에서 성장 여력이 있다고 보고 있다. CSM은 기존 보험계약에서 앞으로 발생할 것으로 예상되는 이익을 뜻한다. 다만 당장 실현된 이익은 아니어서 향후 보험금 지급과 계약 유지 등을 얼마나 안정적으로 관리하느냐가 중요하다. 리딩금융 경쟁에서 보험은 선두 KB금융과의 차이를 만드는 핵심 부문이다. 상반기 KB금융의 순이익은 3조 8846억원으로 신한금융(3조 4427억원)보다 4419억원 많았다. 같은 기간 KB라이프와 KB손보의 합산 순이익은 6204억원으로, 신한라이프와 신한EZ손보의 합산 실적보다 약 3480억원 앞섰다. 신한은행이 KB국민은행보다 많은 이익을 내는 상황에서 보험 부문의 격차를 줄이면 그룹 순위도 바뀔 수 있다는 계산이다. 신한금융은 “통합 과정에서 기존 보험계약과 고객 서비스를 안정적으로 유지하고, 임직원·설계사 등 현장 인력과 충분히 소통해 고용 안정을 도모하겠다”고 밝혔다.

서울 강북구는 지난 8일 보건복지부 주최로 열린 ‘2026년 제21회 임산부의 날 기념행사’에서 임신·출산 친화적 환경 조성과 모성 건강 증진에 기여한 공로로 국무총리 표창을 수상했다고 12일 밝혔다. 이번에 총리 표창을 받은 곳은 지자체 중 강북구가 유일하다. 구는 지난해 ‘강북구 임산부 예우 및 지원에 관한 조례’를 제정하고 △민관 협업 임산부 우선창구 33곳 운영 △서울시 최초 임산부 전용 안전벨트 대여 △임산부·배우자·산후조리원 종사자 대상 백일해 예방접종 지원체계를 마련했다. 임산부 우선창구는 구청과 동주민센터, 육아종합지원센터·가족센터에 이어 신한은행 지점 4곳까지 참여했다. 정창수 구청장은 “임산부와 아이가 존중받고 건강하게 생활할 수 있는 환경을 만들기 위해 함께 노력한 성과”라며 “앞으로도 임신부터 출산, 양육까지 체감할 수 있는 지원체계를 촘촘히 마련해 나가겠다”고 밝혔다.

지난달 금융권에 인공지능(AI)을 활용한 해킹 수법과 대응책이 공유됐지만 약 2주 뒤 주요 금융사들이 정보 유출 사고를 피하지 못한 것으로 나타났다. 외부 접속 시스템의 상시 점검 필요성까지 경고됐던 만큼 사전 대응이 도마 위에 오른 가운데, 시중은행들은 뒤늦게 보안 투자 확대에 나섰다. 11일 한창민 사회민주당 의원실이 금융보안원에서 제출받은 자료에 따르면, 금융보안원은 지난달 17일 ‘금융 AI 보안 위협 대응 세미나’에서 국내 금융사를 겨냥한 AI 에이전트 공격 사례와 대응책을 공유했다. 세미나에는 이후 해킹 피해를 본 KB국민·하나은행, 현대캐피탈, 웰컴저축은행 등의 관계자를 포함해 160여명이 참석했다. 신한은행은 금융지주 차원에서 참석했다. 당시 공격자는 중국 AI 모델 딥시크 기반의 AI 에이전트로 금융권 서버를 탐색한 뒤 단 하루 만에 보안 취약점을 악용해 악성프로그램을 설치했다. 해당 금융사는 공격자가 내부 서버까지 탐색한 뒤 추가 악성코드를 내려받기 직전 침입을 차단했다. 금융보안원은 “연 1~2회 진단으로는 잡히지 않는다”며 외부 노출 시스템의 상시 점검을 강조했다. 약 2주 뒤 발생한 은행권 해킹 역시 외부에 노출된 시스템의 취약점을 겨냥했다. 다만 세미나에서 공개된 공격은 보안패치가 이뤄지지 않은 외부 업체의 솔루션을 노렸고 이번에는 금융회사가 운영하는 외부 접속 업무 시스템이 대상이라는 차이점은 있다. 중국 AI 침투테스트 도구인 ‘아르텍스’와 딥시크 등 AI 모델이 활용된 것도 유사하다. 만약 세미나 이후 취약점을 점검했다면 개인정보 유출을 막을 수 있었다는 지적이 나오는 이유다. 오는 19일 5대 시중 은행장이 증인으로 채택된 금융감독원 국정감사에서는 금융사의 보완조치가 다뤄질 전망이다. 은행들은 뒤늦게 보안 투자와 AI 방어 체계 강화에 나섰다. KB국민은행은 내년 보안 예산을 1000억원 이상으로 늘리고, 신한은행은 업계 최고 수준의 예산 편성과 AI 보안관제센터 구축을 추진한다. 하나은행은 수백억원 규모의 보안 체계 구축과 AI 모의해킹을 추진하고, 우리은행은 예산 20% 이상 증액·인력 10% 이상 확충을 검토 중이다. NH농협은행도 투자를 확대하고 내년 하반기 AI 모의공격 점검에 나설 계획이다. 한편 금융권 연쇄 해킹 공격에 활용된 것으로 추정되는 아르텍스가 공개 개발을 중단했다. 아르텍스 개발자는 지난 8일 플랫폼 게시글에서 “도구의 잘못된 사용을 고려했다”고 밝혔다. 다만 이미 배포된 프로그램까지는 회수되지는 않는다.

금융보안원, AI 공격 사례·대응책 사전 공유국민·하나은행 등 피해 금융사도 세미나 참석외부 시스템 취약점 경고에도 정보유출 잇따라5대 은행 뒤늦게 보안 투자 확대…국감서 쟁점지난달 금융권에 인공지능(AI)을 활용한 해킹 수법과 대응책이 공유됐지만 약 2주 뒤 주요 금융사들이 정보 유출 사고를 피하지 못한 것으로 나타났다. 외부 접속 시스템의 상시 점검 필요성까지 경고됐던 만큼 사전 대응이 도마 위에 오른 가운데, 시중은행들은 뒤늦게 보안 투자 확대에 나섰다. 11일 한창민 사회민주당 의원실이 금융보안원에서 제출받은 자료에 따르면, 금융보안원은 지난달 17일 ‘금융 AI 보안 위협 대응 세미나’에서 국내 금융사를 겨냥한 AI 에이전트 공격 사례와 대응책을 공유했다. 세미나에는 이후 해킹 피해를 본 KB국민·하나은행, 현대캐피탈, 웰컴저축은행 등의 관계자를 포함해 160여명이 참석했다. 신한은행은 금융지주 차원에서 참석했다. 당시 공격자는 중국 AI 모델 딥시크 기반의 AI 에이전트로 금융권 서버를 탐색한 뒤 단 하루 만에 보안 취약점을 악용해 악성프로그램을 설치했다. 해당 금융사는 공격자가 내부 서버까지 탐색한 뒤 추가 악성코드를 내려받기 직전 침입을 차단했다. 금융보안원은 “연 1~2회 진단으로는 잡히지 않는다”며 외부 노출 시스템의 상시 점검을 강조했다. 약 2주 뒤 발생한 은행권 해킹 역시 외부에 노출된 시스템의 취약점을 겨냥했다. 다만 세미나에서 공개된 공격은 보안패치가 이뤄지지 않은 외부 업체의 솔루션을 노렸고 이번에는 금융회사가 운영하는 외부 접속 업무 시스템이 대상이라는 차이점은 있다. 중국 AI 침투테스트 도구인 ‘아르텍스’와 딥시크 등 AI 모델이 활용된 것도 유사하다. 만약 세미나 이후 취약점을 점검했다면 개인정보 유출을 막을 수 있었다는 지적이 나오는 이유다. 오는 19일 5대 시중 은행장이 증인으로 채택된 금융감독원 국정감사에서는 금융사의 보완조치가 다뤄질 전망이다. 은행들은 뒤늦게 보안 투자와 AI 방어 체계 강화에 나섰다. KB국민은행은 내년 보안 예산을 1000억원 이상으로 늘리고, 신한은행은 업계 최고 수준의 예산 편성과 AI 보안관제센터 구축을 추진한다. 하나은행은 수백억원 규모의 보안 체계 구축과 AI 모의해킹을 추진하고, 우리은행은 예산 20% 이상 증액·인력 10% 이상 확충을 검토 중이다. NH농협은행도 투자를 확대하고 내년 하반기 AI 모의공격 점검에 나설 계획이다. 한편 금융권 연쇄 해킹 공격에 활용된 것으로 추정되는 아르텍스가 공개 개발을 중단했다. 아르텍스 개발자는 지난 8일 플랫폼 게시글에서 “도구의 잘못된 사용을 고려했다”고 밝혔다. 다만 이미 배포된 프로그램까지는 회수되지는 않는다.

은행업 보험금 지급 4년여간 전무전체 업종은 25건·약 13억원 지급배상책임 인정·피해액 판단이 문턱합의 배상·특약으로 고객 지원 가능5대 시중은행의 개인정보 배상보험 기본 보장한도는 총 700억원이지만, 최근 4년여간 은행업 보험금 지급 실적은 한 건도 없는 것으로 확인됐다. 금융권 연쇄 해킹으로 고객 정보가 잇따라 유출되는 가운데, 보험이 실질적인 소비자 보호로 이어지도록 고객 배상을 강화하고 지원을 확대할 필요가 있다는 지적이 나온다. 8일 김형연 조국혁신당 의원실이 개인정보보호위원회에서 제출받은 자료에 따르면 2022년부터 올해 7월까지 5대 은행(KB국민·신한·하나·우리·NH농협은행)의 개인정보 손해배상책임보험 보험금 지급액은 0원으로 집계됐다. 5대 은행 외에도 은행법상 은행에 해당하는 지급 건은 없는 것으로 파악됐다. 같은 기간 전체 업종에서는 25건, 12억 9820만원이 지급됐다. 전체 지급액은 2022년 4123만원에서 지난해 4억 6249만원으로 약 11배 늘었고, 올해는 7월까지 4억 7749만원으로 지난해 연간액을 넘어섰다. 5대 은행은 개인정보 사고에 대비해 은행별로 100억~200억원의 기본 보장한도를 확보하고 있다. 서울신문이 각 은행에 확인한 결과 신한은행·NH농협은행은 각각 200억원, KB국민은행·하나은행·우리은행은 각각 100억원이었다. 신한은행은 신용정보 유출 등의 손해보장 한도도 200억원이며, 하나은행은 연간 보상한도 100억원에 신용정보 누출손해·위기관리 실행비용 등의 특약을 포함하고 있다. 문제는 수백억원대 보험에 가입했더라도 사고 발생만으로 고객 보상이 보장되지는 않는다는 점이다. 개인정보 유출뿐 아니라 분실·도난·위조·변조·훼손 등에 따른 법률상 배상책임도 약관에 따라 보장하지만, 실제 보험금 지급에는 피해와 책임에 대한 판단이 필요하다. 보험업계에 따르면 소송에 드는 시간과 비용, 기업의 분쟁조정안 거부도 소비자가 배상받는 데 부담으로 작용한다. 합의 배상과 특약을 통한 선제적 고객 지원에도 보험을 활용할 수 있다. 실제 기업이 개인정보 유출 피해자와 1인당 10만원 배상에 합의한 뒤 보험금이 지급된 사례가 있다. 보험사 관계자는 “특약을 통해 회사가 자발적으로 보상한 부분까지 커버해주기도 한다”고 설명했다. 일부 위기관리 실행비용 특약은 보험사 사전 동의 등 조건에 따라 고객 통지 비용과 피해자 위로금 등도 보장한다. 다만 피해와 인과관계를 확인하기 어렵고, 피해자가 많은 사고에서는 조정 성립도 쉽지 않다는 설명이다. 최경진 가천대 법학과 교수(개인정보전문가협회장)는 “손해가 실제로 발생했는지를 확인하기 어렵고, 유출 때문에 피해가 발생했는지 인과관계를 확인하기도 어렵다”고 지적했다. 이어 “조정이 성립하면 배상액을 지급할 수 있는 보험 약관도 있지만, 피해자가 많아지면 전체 배상 규모가 커져 사업자와의 조정 성립이 어려워질 수 있다”고 덧붙였다. 보험이 실질적인 피해 구제로 이어지려면 개인정보 사고에 따른 고객 배상을 강화해야 한다는 지적도 나온다. 정광민 포항공대 산업경영공학과 교수는 보험연구원의 ‘대규모 개인정보 유출 사고와 보험산업의 대응 과제’ 보고서에서 “과징금 확대와 더불어 피해 고객에 대한 배상책임 규모를 대폭 확대해야 한다”고 밝혔다. 개인정보 보호에 실패하면 기업의 재무건전성과 가치에도 심각한 손상이 생길 수 있다는 경각심을 높여야 한다는 취지다.

인공지능(AI)을 활용한 ‘금융권 연쇄 해킹’ 사고의 여파가 이어지는 가운데 서민금융 정책기관인 서민금융진흥원과 신용회복위원회도 지난 2일 유사한 해킹 공격을 받은 것으로 알려졌다. 이들 기관이 다루는 소득·부채·연체 정보가 유출되면 서민의 절박한 사정을 악용한 맞춤형 금융사기로 이어질 수 있어 보안 강화가 필요하다는 지적이 나온다. 7일 금융당국에 따르면 서금원과 신복위는 지난 2일 두 기관 홈페이지를 겨냥한 해킹 공격 인터넷주소(IP)와 은행권 해킹 공격에 사용된 IP가 동일하다는 점을 발견했다. 공격자는 비대면 상담용 챗봇에 대환대출·정책자금 등 익숙한 단어를 입력하며 취약점을 찾으려 한 것으로 알려졌다. 두 기관이 실시간으로 대응해 초기 단계에서 공격을 차단하면서 정보 유출 등 피해는 없었다. 서금원은 은행 대출이 어려운 저소득·저신용층에 햇살론 등 정책금융을 지원하고, 신복위는 빚을 갚기 어려운 채무자의 상환 부담을 줄이는 채무조정을 돕는 공공기관이다. 은행·저축은행·캐피탈 등에서 개인정보 유출을 일으킨 연쇄 공격이 서민의 재기를 돕는 ‘금융 안전망’까지 향한 것이다. 특히 두 기관은 정책대출과 채무조정 과정에서 신청자의 소득·부채·연체 여부 등을 확인한다. 관련 정보가 유출되면 ‘누가 얼마나 경제적으로 어려운지’까지 드러날 수 있어 개인의 경제적인 사정이 노출될 수 있다. 이런 정보가 유출되면 사기범이 ‘정부 지원 대출을 받을 수 있다’, ‘빚을 줄여 주겠다’며 접근해 급전이나 채무조정이 절실한 사람에게 추가 피해를 줄 가능성도 있다. 황석진 동국대 정보보호대학원 교수는 “단순히 개인 정보 유출을 넘어서 개인의 경제적 취약성을 이용한 맞춤형 보이스피싱으로 악용될 우려도 있다”며 “민간회사는 물론 공공기관에 대한 정보보안 시스템도 다시 점검해야 한다”고 말했다. 공격자가 개인정보를 빼내 거래하려 했을 가능성이 거론되지만 두 공공기관을 겨냥한 구체적인 목적은 확인되지 않았다. 보안업계 관계자는 “AI의 자동화 도구를 이용하면 전방위적으로 탐색한 뒤 취약점이 발견되는 기관부터 공격하는 방식이 가능하다”고 설명했다. 금융당국은 금융회사들의 긴급점검 결과도 분석하고 있다. 금감원은 전날 은행·카드업권의 결과를 보고받았으며, 나머지 업권은 8일까지 점검을 마쳐야 한다. 현재까지 추가 정보 유출은 확인되지 않았다. 은행권 개인정보 유출 피해자들은 집단소송 준비에 나섰다. 서초동의 한 로펌은 신한은행 피해자를 대상으로 손해배상 집단소송 원고를 모집하고 있다. 네이버에도 ‘신한은행 해킹 피해자 집단소송 카페’가 개설됐다. 운영자는 공지에서 “은행은 피해가 확인되면 전액 보상하겠다고 했지만 무엇을 피해로 볼 건지, 어떻게 신청하는 건지는 아직 아무 말이 없다”며 개설 배경을 밝혔다.

금융당국이 인공지능(AI) 에이전트를 활용한 것으로 추정되는 금융권 해킹 공격과 관련해 인터넷주소(IP) 28개를 특정했다. 당국은 IP주소와 보안 취약점 정보를 500여곳 금융회사에 알리고 점검 중이다. 금융감독원은 6일 공지를 통해 “최근 발생한 정보유출 사고와 관련해 해킹을 시도한 IP 주소 33개, 중복을 제거하면 28개를 일부 국가 정보와 함께 금융권에 전파했다”고 밝혔다. 금융권에 따르면 IP 소재 지역은 전날까지 12개국에 달한 것으로 알려졌다. 미국, 일본, 홍콩(중국), 싱가포르, 베트남, 태국, 말레이시아, 스페인, 라트비아, 스웨덴 등이었다. 미국발 IP가 5개로 가장 많았고, 일본과 스웨덴, 독일은 각 2개씩 중복이 있었다. 국내 IP도 1개 있었다. 다만 당국은 해커가 추적을 방해하기 위해 여러 국가를 우회해 침투하는 경우가 있어 공격이 시작된 국가로 해석할 수는 없다고 설명했다. 일부 IP에서는 중국 인공지능(AI) 기반 침투테스트 플랫폼 ‘아르텍스(ARTEX)’의 흔적이 나왔다. 금감원은 신한은행을 비롯한 일부 은행에 비정상적 경로로 접근해 고객 개인정보를 빼내 간 IP를 토대로 공격자 IP 범위를 좁힌 것으로 전해졌다. 공격은 증권·카드·보험사뿐만 아니라 인터넷전문은행에도 시도됐다. 토스뱅크의 경우 올해 7∼8월뿐 아니라 일찍이 1월에도 당국이 지목한 일부 공격자 IP에서 14차례 비정상적 접근 시도가 있었던 것으로 파악됐다. 카카오뱅크와 케이뱅크도 올해 유사한 시도가 수차례 있었다. 당국은 한 달간 ‘개인정보 유출 2차 피해 특별대응기간’을 발표했다. 이 기간 금융사들은 개인정보 유출 전담 상담창구를 운영하고, 2차 피해 신고가 접수되거나 의심될 경우 금융당국에 즉시 보고해야 한다. 은행권 정보보호최고책임자(CISO)들도 이날 은행연합회에서 회의를 열고 보안점검 현황과 위협정보 신속 공유 등을 논의했다. 한성숙 국무총리는 이날 정부서울청사에서 금융·공공기관 개인정보 유출 관련 회의를 열고 금융위원회에 “유출된 개인 정보 범위를 정확히 파악하고 원인을 철저히 분석해 대책을 마련해달라”고 요청했다.

① 금융사 정보보호 의무공시 예외 ② AI보안 대응은 제재 없는 권고 ③ 책임·보완 강화법은 국회 계류 “정보 공개로 보안 투자 늘리게 해야” 금융권 연쇄 해킹으로 고객 정보가 잇따라 유출됐지만 금융소비자를 보호할 제도는 공격 속도를 따라가지 못하고 있다. 금융사는 보안 투자·인력을 공개할 의무가 없고, 인공지능(AI) 공격 대응지침은 권고 수준에 머물러 있다. 경영진의 보안 책임을 강화할 법 개정도 지연되고 있다. 금융사가 사고 예방에 적극 투자하도록 이끌 장치가 부족한 셈이다. 6일 금융권에 따르면 사고 관련 고객 문의는 이어지고 있다. 고객 2만 5000여명의 개인정보가 유출된 신한은행에는 지난 5일까지 총 4991건의 문의가 접수됐다. 이 가운데 유출 대상 고객의 문의는 225건, 민원성 문의는 99건이었다. 약 4만명의 고객 정보가 유출된 것으로 추정되는 예가람저축은행에는 4~5일 이틀간 5건의 문의가 들어왔다. 이렇게 정보 유출로 고객 불안이 커지고 있지만, 정작 소비자가 금융사의 보안 수준을 확인하고 비교할 수 있는 정보는 제한적이다. 현행 정보보호산업법 시행령에 따라 은행·보험·카드 등 금융회사는 한국인터넷진흥원(KISA)의 정보보호 의무공시 대상에서 제외된다. 자율적으로 공개할 수는 있지만, 모든 금융사의 보안 투자와 인력을 같은 기준으로 비교하기는 어렵다. 정보보호 공시는 소비자의 선택을 돕는 동시에 금융사 간 보안 투자 경쟁을 유도할 수 있다. 염흥열 순천향대 정보보호학과 명예교수는 “동종 기업의 투자 비율 등을 비교하면 경쟁적으로 정보보호 투자를 늘리는 데 기여할 수 있다”며 “금융권도 정보보호 공시제도를 활성화할 필요가 있다”고 말했다. AI 위협에 맞춘 구체적인 대응체계도 현재는 권고 중심이다. 금융위원회는 지난 7월 취약점·패치 관리, 자산·공급망 관리, AI 기반 방어 자동화 등을 담은 ‘프런티어 AI 보안위협 금융분야 대응요령’을 배포했지만 금융사가 준수하지 않아도 제재 등 불이익이 없다. 다만 기존 전자금융 관련 법령에 따른 취약점 분석·평가 등 보안 의무는 별도로 존재한다. 다만 기술이 빠르게 바뀌는 만큼 세부 규정을 강제하는 것만으로는 한계가 있다는 반론도 나온다. 임종인 고려대 정보보호대학원 명예교수는 “AI는 6개월마다 두 배씩 성능이 좋아지는데 기존 정보보호 규정을 준수하는 수준의 대응만 반복하면 필패”라며 “업체가 스스로 투자하고 역량을 길러 보안 수준을 경쟁력으로 삼게 해야 한다”고 강조했다. 금융사 경영진의 보안 책임을 강화할 법 개정도 국회에서 멈춰 있다. 유동수 더불어민주당 의원이 지난해 11월 28일 발의한 전자금융거래법 개정안은 대표이사의 책임을 명확히 하고 정보보호최고책임자(CISO)의 독립성과 권한을 강화하는 내용이다. 정보보호 공시와 제재체계 정비도 담겼지만, 지난 3월 31일 정무위원회에 상정된 뒤 계류 중이다. 보안 책임자에게 임원 직함을 주는 데 그치지 않고, 보안 예산과 인력 확보 등 주요 의사결정에 참여할 권한을 보장해야 한다는 지적도 나온다. 권헌영 고려대 정보보호대학원 교수는 금융사의 보안 관리체계 개선에 대해 “형식적으로 임원 자리만 주고 실질적으로 경영에 참여하는 권한과 책임은 안 준다”고 지적했다.

금융권 연쇄 해킹으로 고객 정보가 잇따라 유출됐지만 금융소비자를 보호할 제도는 공격 속도를 따라가지 못하고 있다. 금융사는 보안 투자·인력을 공개할 의무가 없고, 인공지능(AI) 공격 대응지침은 권고 수준에 머물러 있다. 경영진의 보안 책임을 강화할 법 개정도 지연되고 있다. 금융사가 사고 예방에 적극 투자하도록 이끌 장치가 부족한 셈이다. 6일 금융권에 따르면 사고 관련 고객 문의는 이어지고 있다. 고객 2만 5000여명의 개인정보가 유출된 신한은행에는 지난 5일까지 총 4991건의 문의가 접수됐다. 이 가운데 유출 대상 고객의 문의는 225건, 민원성 문의는 99건이었다. 약 4만명의 고객 정보가 유출된 것으로 추정되는 예가람저축은행에는 4~5일 이틀간 5건의 문의가 들어왔다. ① 금융사 정보보호 의무공시 예외이렇게 정보 유출로 고객 불안이 커지고 있지만, 정작 소비자가 금융사의 보안 수준을 확인하고 비교할 수 있는 정보는 제한적이다. 현행 정보보호산업법 시행령에 따라 은행·보험·카드 등 금융회사는 한국인터넷진흥원(KISA)의 정보보호 의무공시 대상에서 제외된다. 자율적으로 공개할 수는 있지만, 모든 금융사의 보안 투자와 인력을 같은 기준으로 비교하기는 어렵다. 정보보호 공시는 소비자의 선택을 돕는 동시에 금융사 간 보안 투자 경쟁을 유도할 수 있다. 염흥열 순천향대 정보보호학과 명예교수는 “동종 기업의 투자 비율 등을 비교하면 경쟁적으로 정보보호 투자를 늘리는 데 기여할 수 있다”며 “금융권도 정보보호 공시제도를 활성화할 필요가 있다”고 말했다. ② AI 보안 대응은 제재 없는 권고AI 위협에 맞춘 구체적인 대응체계도 현재는 권고 중심이다. 금융위원회는 지난 7월 취약점·패치 관리, 자산·공급망 관리, AI 기반 방어 자동화 등을 담은 ‘프런티어 AI 보안위협 금융분야 대응요령’을 배포했지만 금융사가 준수하지 않아도 제재 등 불이익이 없다. 다만 기존 전자금융 관련 법령에 따른 취약점 분석·평가 등 보안 의무는 별도로 존재한다. 다만 기술이 빠르게 바뀌는 만큼 세부 규정을 강제하는 것만으로는 한계가 있다는 반론도 나온다. 임종인 고려대 정보보호대학원 명예교수는 “AI는 6개월마다 두 배씩 성능이 좋아지는데 기존 정보보호 규정을 준수하는 수준의 대응만 반복하면 필패”라며 “업체가 스스로 투자하고 역량을 길러 보안 수준을 경쟁력으로 삼게 해야 한다”고 강조했다. ③ 책임·보안 강화법은 국회 계류금융사 경영진의 보안 책임을 강화할 법 개정도 국회에서 멈춰 있다. 유동수 더불어민주당 의원이 지난해 11월 28일 발의한 전자금융거래법 개정안은 대표이사의 책임을 명확히 하고 정보보호최고책임자(CISO)의 독립성과 권한을 강화하는 내용이다. 정보보호 공시와 제재체계 정비도 담겼지만, 지난 3월 31일 정무위원회에 상정된 뒤 계류 중이다. 보안 책임자에게 임원 직함을 주는 데 그치지 않고, 보안 예산과 인력 확보 등 주요 의사결정에 참여할 권한을 보장해야 한다는 지적도 나온다. 권헌영 고려대 정보보호대학원 교수는 금융사의 보안 관리체계 개선에 대해 “형식적으로 임원 자리만 주고 실질적으로 경영에 참여하는 권한과 책임은 안 준다”고 지적했다.

금융당국이 인공지능(AI) 에이전트를 활용한 것으로 추정되는 금융권 해킹 공격과 관련해 인터넷주소(IP) 28개를 특정했다. 당국은 IP주소와 보안 취약점 정보를 500여곳 금융회사에 알리고 점검 중이다. 금융감독원은 6일 공지를 통해 “최근 발생한 정보유출 사고와 관련해 해킹을 시도한 IP 주소 33개, 중복을 제거하면 28개를 일부 국가 정보와 함께 금융권에 전파했다”고 밝혔다. 금융권에 따르면 IP 소재 지역은 전날까지 12개국에 달한 것으로 알려졌다. 미국, 일본, 홍콩(중국), 싱가포르, 베트남, 태국, 말레이시아, 스페인, 라트비아, 스웨덴 등이었다. 미국발 IP가 5개로 가장 많았고, 일본과 스웨덴, 독일은 각 2개씩 중복이 있었다. 국내 IP도 1개 있었다. 다만 당국은 해커가 추적을 방해하기 위해 여러 국가를 우회해 침투하는 경우가 있어 공격이 시작된 국가로 해석할 수는 없다고 설명했다. 일부 IP에서는 중국 인공지능(AI) 기반 침투테스트 플랫폼 ‘아르텍스(ARTEX)’의 흔적이 나왔다. 금감원은 신한은행을 비롯한 일부 은행에 비정상적 경로로 접근해 고객 개인정보를 빼내 간 IP를 토대로 공격자 IP 범위를 좁힌 것으로 전해졌다. 공격은 증권·카드·보험사뿐만 아니라 인터넷전문은행에도 시도됐다. 토스뱅크의 경우 올해 7∼8월뿐 아니라 일찍이 1월에도 당국이 지목한 일부 공격자 IP에서 14차례 비정상적 접근 시도가 있었던 것으로 파악됐다. 카카오뱅크와 케이뱅크도 올해 유사한 시도가 수차례 있었다. 당국은 한 달간 ‘개인정보 유출 2차 피해 특별대응기간’을 발표했다. 이 기간 금융사들은 개인정보 유출 전담 상담창구를 운영하고, 2차 피해 신고가 접수되거나 의심될 경우 금융당국에 즉시 보고해야 한다. 은행권 정보보호최고책임자(CISO)들도 이날 은행연합회에서 회의를 열고 보안점검 현황과 위협정보 신속 공유 등을 논의했다. 한성숙 국무총리는 이날 정부서울청사에서 금융·공공기관 개인정보 유출 관련 회의를 열고 금융위원회에 “유출된 개인 정보 범위를 정확히 파악하고 원인을 철저히 분석해 대책을 마련해달라”고 요청했다.

서울에 사는 직장인 박모(34)씨는 지난 2일 신한은행 해킹 소식을 접하자마자 ‘본인계좌 일괄지급정지’를 신청했다. 계좌에서 출금이나 이체가 이뤄지지 않도록 한꺼번에 막는 조치다. 박씨는 6일 “당장 돈이 빠져나간 것은 아니지만 개인정보가 어디까지 넘어갔는지 알 수 없어 일단 피해를 예방하는 차원에서 신청했다”고 밝혔다. 은행권을 겨냥한 대규모 해킹 사건 이후 시민들이 스스로 ‘금융 방어’에 나서고 있다. 은행들은 현재까지 고객 계좌에서 돈이 빠져나가는 등 금융 피해는 없다는 입장이지만, 여러 은행을 상대로 한 대규모 해킹이 이례적인 데다 유출된 개인정보가 보이스피싱이나 스미싱 등에 악용될 가능성까지 제기되면서 불안감이 가시지 않고 있다. 집단소송을 준비하는 시민들도 나타났다. 일부 피해자들은 온라인 카페를 개설해 피해 사례를 공유하며 소송을 준비하고 있다. 한 피해자는 카페에 “정보가 유출됐다면 미리 캡처해 두고, 이상한 문자나 전화가 오면 날짜와 내용을 기록해두자”며 “나중에 피해 사실을 입증하는 증거가 될 수 있다”고 안내했다. 개천절 연휴가 끝나면서 보이스피싱이나 스미싱 등 2차 피해가 본격화할 수 있다는 우려도 나온다. 인천에 사는 김모(53)씨는 80대 어머니에게 모르는 번호로 걸려 오는 전화나 출처가 불분명한 문자는 받거나 누르지 말라고 당부했다. 김씨는 “부모님 세대는 은행에서 연락이 왔다고 하면 일단 믿으실 수 있어 걱정된다”며 “해킹 소식을 알고 나니 평소보다 전화 한 통, 문자 하나도 더 신경 쓰게 된다”고 했다. 은행들은 보상 방침을 밝히며 사태 수습에 나섰다. 신한은행과 KB국민은행, 하나은행 등은 이번 정보 유출로 고객에게 손해가 발생할 경우 전액 보상하겠다고 밝혔다. 은행이 밝힌 보상 방침과 별개로 법에 따라 손해배상을 청구할 수도 있다. 신용정보법과 개인정보보호법에 따르면 신용정보회사나 개인정보처리자의 잘못으로 개인정보가 유출된 경우 피해자는 손해배상을 청구할 수 있다. 과거 금융권 대규모 정보 유출 사고에서도 고객에게 위자료를 지급하라는 대법원 판결이 나온 사례가 있다. 대법원은 2013년 발생한 KB국민카드 고객정보 유출 사건과 관련해 피해자 584명이 국민카드와 코리아크레딧뷰로(KCB)를 상대로 낸 손해배상 소송에서 1인당 10만원을 지급하라고 한 원심을 확정했다. 당시 재판부는 국민카드가 고객정보 보호를 위해 지켜야 할 법령상 의무를 위반해 사고의 원인을 제공했다고 판단했다.

최근 잇따라 발생한 금융권 해킹에 인공지능(AI) 도구가 활용된 정황이 확인되면서 향후 이같은 사이버 공격이 더욱 광범위하고 무차별적으로 발생할 수 있다는 우려가 나온다. 하지만 경찰의 해킹 사건 검거 비율은 20% 안팎에 그쳐 향후 국제공조와 AI 대응 수사력을 강화해야 한다는 목소리가 커지고 있다. 5일 경찰청 ‘사이버 범죄 통계’를 보면 2020~2025년 해킹은 총 1만 7445건이 발생해 3969건이 검거됐다. 발생 건수 대비 검거 비율은 22.8%에 그친다. 해킹 발생건수는 2020년 3176건에서 2022년 2396건으로 감소한 이후, 지난해 3544건까지 3년 연속 증가했다. 경찰대학 치안정책연구소는 “수사기관 대응 역량이 일정 부분 강화됐지만 해킹 수법의 첨단화·지능화가 검거율 상승을 제약하고 있다”고 분석했다. 특히 해외 IP·서버를 통한 우회 공격과 국제공조의 한계 등 ‘국경 밖 수사’는 해킹 사건의 고질적인 난관으로 꼽힌다. 사이버범죄 관련 경찰의 국제공조 요청 건수는 2024년 1만 504건에서 지난해 11월 기준 1만 3264건으로 26.3% 늘었다. 시중은행에서 시작해 저축은행·캐피털 등 금융권 전반에서 피해 사례가 확인된 이번 해킹 사건도 해외 IP가 광범위하게 활용된 것으로 확인됐다. 신한은행 공격에는 미국·일본·홍콩·싱가포르·베트남·태국·영국 등 여러 국가의 IP가 동원됐다. 경찰청은 유로폴을 비롯해 세계 각국과 실무약정을 체결하는 등 협력하고 있지만, 실질적인 국제 공조는 여전히 제한적이다. 김도우 경남대 경찰학과 교수는 “유럽은 회원국 간 정보 공유와 공동수사 체계가 활발히 이뤄지고 있지만, 우리나라는 실무약정을 체결했더라도 아직 그 수준에 미치지 못한다”며 “IP가 해외에 있을 경우 피의자를 추적하기 어렵고, 국제공조도 제대로 이뤄지지 않고 있다”고 지적했다. 이젠 해킹에 AI까지 동원되면서 관련 수사 난도는 더 높아질 수 있다는 우려가 나온다. 황석진 동국대 국제정보보호대학원 교수는 “AI가 활용되면서 해킹의 진입장벽도 낮아지고 있다”며 “기존 사이버수사 체계와 전문 인력, 수사기법 역시 AI 시대에 맞게 고도화할 필요가 있다”고 밝혔다.

주변 정보 탈취해 개인 정보 뚫어사이트마다 비밀번호 달리 바꿔야피싱·스미싱 등 2~3차 피해 우려 커직함·소속 토대로 맞춤형 미끼 던져‘피해 보상’ ‘유출 확인’ 문자도 주의 인공지능(AI) 해킹에 따른 금융권의 개인정보 유출로, 여러 경로에서 조각조각 빠져나간 개인정보를 결합해 악용하는 2차 범죄에 노출될 수 있다는 우려가 커지고 있다. 5일 금융권에 따르면 최근 신한·KB국민·하나·BNK부산은행 등에서 발생한 개인정보 유출 사태에서 해커는 주로 보조 운영 시스템을 노렸다. 신한은행에서는 고객 이름, 전화번호, 연 소득, 산출 대출한도 등을 탈취당했고 KB국민은행에서는 직원용 모바일 업무지원시스템이, 하나은행은 영업지원시스템(ODS)이 공격을 받았다. 공격자는 인터넷뱅킹이나 고객 계좌 자체를 노리지 않았다. 보안업계에서는 고객 개인정보를 탈취해 2차 범죄를 겨냥한 것이라는 관측이 적지 않다. 유출 정보들은 개별적이고 단편적이지만 결합될 경우 기본 정보, 소득, 대출 내역, 취향 등 이용자의 프로필을 정밀하게 만들어낼 수 있다. 생성형 AI 기술이 발전하면서 개인을 겨냥한 ‘표적형 피싱’이나 ‘맞춤형 사기’는 빈번해지는 추세다. 마이크로소프트(MS)는 보고서에서 공격자들이 해킹 표적의 직함과 소속을 토대로 피싱 메시지를 맞춤 제작하고, 심지어 AI가 상대의 모국어와 말투에 맞춰 문구를 바꾸는 등 피싱이 정교화하고 있다고 밝혔다. AI가 접목된 피싱 공격에서 클릭률은 기존 방식보다 4.5배나 높았다. 보안업계 관계자는 “개인정보 결합 후 진행하는 2차 공격은 해킹 사고 이후 일정 시간이 지나 소비자의 경계심이 느슨해진 시점에 진행하는 경향이 있다”며 “이에 상대적으로 피해도 크지만 어떤 개인정보가 어떤 경로로 유출된 것인지 특정도 어렵다”고 말했다. 이미 대부분의 개인정보 파편이 유출된 것으로 봐야 한다는 지적도 있다. 개인정보가 유출됐다면 유출된 계정의 비밀번호 변경이 필수적이다. 여러 사이트에서 같은 비밀번호를 사용했다면 해당 계정까지 모두 변경해야 한다. 평소에 사이트마다 서로 다른 비밀번호를 설정하고 다중 인증을 하는 것이 안전하다. 유출 사고 이후의 피싱·스미싱 문자는 특히 경계해야 한다. 개인정보 유출 사실을 악용해 ‘피해 보상’, ‘유출 여부 확인’ 등을 앞세운 피싱이 늘어나기 때문이다. 공격자가 이미 확보한 이름이나 연락처 등을 메시지에 넣기도 한다. 출처가 불분명한 문자나 이메일에 포함된 링크는 절대 누르지 말고, 금전 요구 연락은 가족이더라도 사칭이 아닌지 우선 의심해야 한다. 업무와 일상에 불필요하다면 국제 문자 수신을 차단하는 것도 방법이다.

②15~67시간 ‘깜깜’ 이유는‘짧은 시간 인증·조회 반복’ 허점 노려③피해 없는 곳의 차별점은다중 인증·상시 점검 체계로 방어금융권을 겨냥한 인공지능(AI) 해킹 사고로 소비자 불안이 커지고 있다. 서울신문이 유출 확인법과 금융사의 탐지가 늦어진 이유, 피해를 막은 금융사의 차이 등 세 가지 궁금증을 짚었다. 5일 금융권에 따르면 개인정보 유출 확인 방식은 금융사마다 다르다. 신한은행은 ‘신한 SOL뱅크’와 홈페이지에서 직접 조회할 수 있고 피해 고객에게 문자·일부 우편으로 알렸다. KB국민은행도 홈페이지에 조회창을 마련하고 피해 대상자에게 멀티미디어메시지(MMS)를 보냈다. 하나은행은 피해 고객 89명에게 개별 통보했고, 약 4만명 규모로 추정되는 예가람저축은행은 홈페이지 공지와 문자 안내에 나섰다. 별도 조회창이 없다면 금융사의 개별 통지나 공식 홈페이지 공지를 확인하는 게 우선이다. 특히 ‘개인정보 유출 확인’을 내세운 문자 속 링크를 누르기보다 거래 금융사의 공식 애플리케이션(앱)이나 홈페이지에 직접 접속하는 게 안전하다. 수백억원대 보안 투자와 각종 인증에도 대형 은행들은 공격을 수십 시간 동안 알아채지 못했다. 공격 시작부터 인지까지 신한은행은 15시간 26분, 하나은행은 41시간 44분, KB국민은행은 67시간 41분이 걸렸다. AI가 짧은 시간에 인증·조회 시도를 반복하며 기존 탐지체계의 허점을 파고들었을 가능성이 거론된다. 신한은행에서는 정상적인 조회처럼 접근한 뒤 고객번호 등을 대입해 대출신청 결과 등 6개 서비스를 집중 조회한 것으로 파악됐다. 다만 AI가 실제 어느 단계에서 활용됐고 탐지 지연에 얼마나 영향을 미쳤는지는 아직 조사 중이다. 방어 수단으로는 비밀번호 외에 추가 인증을 요구하는 다중인증과 취약점 선제 점검이 꼽힌다. 우리은행은 AI 기반 솔루션 ‘진트(Xint)’와 자체 도구로 주요 시스템의 취약점을 상시 확인한다. NH농협은행도 비정상 접속과 인증 우회 시도를 탐지·차단하는 체계를 운영한다. 두 은행은 유사한 공격을 받았지만 이날까지 정보 유출은 확인되지 않았다.

금융권을 겨냥한 인공지능(AI) 해킹 사고로 소비자 불안도 커지고 있다. 서울신문이 유출 확인법과 금융사의 탐지가 늦어진 이유, 피해를 막은 금융사의 차이 등 세 가지 궁금증을 짚었다. 내 정보 유출됐나… 금융사별 확인법 달라5일 금융권에 따르면 개인정보 유출 확인 방식은 금융사마다 다르다. 신한은행은 ‘신한 SOL뱅크’와 홈페이지에서 직접 조회할 수 있고 피해 고객에게 문자·일부 우편으로 알렸다. KB국민은행도 홈페이지에 조회창을 마련하고 피해 대상자에게 멀티미디어메시지(MMS)를 보냈다. 하나은행은 피해 고객 89명에게 개별 통보했고, 약 4만명 규모로 추정되는 예가람저축은행은 홈페이지 공지와 문자 안내에 나섰다. 별도 조회창이 없다면 금융사의 개별 통지나 공식 홈페이지 공지를 확인하는 게 우선이다. 특히 ‘개인정보 유출 확인’을 내세운 문자 속 링크를 누르기보다 거래 금융사의 공식 애플리케이션(앱)이나 홈페이지에 직접 접속하는 게 안전하다. 수백억 보안투자에도… 왜 15~67시간 몰랐나수백억원대 보안 투자와 각종 인증에도 대형 은행들은 공격을 수십 시간 동안 알아채지 못했다. 공격 시작부터 인지까지 신한은행은 15시간 26분, 하나은행은 41시간 44분, KB국민은행은 67시간 41분이 걸렸다. AI가 짧은 시간에 인증·조회 시도를 반복하며 기존 탐지체계의 허점을 파고들었을 가능성이 거론된다. 신한은행에서는 정상적인 조회처럼 접근한 뒤 고객번호 등을 대입해 대출신청 결과 등 6개 서비스를 집중 조회한 것으로 파악됐다. 다만 AI가 실제 어느 단계에서 활용됐고 탐지 지연에 얼마나 영향을 미쳤는지는 아직 조사 중이다. 같은 공격에도 피해 없었다… 다중인증·선제 점검방어 수단으로는 비밀번호 외에 추가 인증을 요구하는 다중인증과 취약점 선제 점검이 꼽힌다. 우리은행은 AI 기반 솔루션 ‘진트(Xint)’와 자체 도구로 주요 시스템의 취약점을 상시 확인한다. NH농협은행도 비정상 접속과 인증 우회 시도를 탐지·차단하는 체계를 운영한다. 두 은행은 유사한 공격을 받았지만 이날까지 정보 유출은 확인되지 않았다.

최근 2년 새 사업자 차명계좌가 가장 많이 적발된 금융사는 NH농협은행으로 드러났다. 4일 국세청이 강민국 국민의힘 의원실에 제출한 ‘차명계좌 신고 금융회사 내역’에 따르면 지난해 1월부터 올해 7월까지 총 28개 금융회사에서 3471건의 사업자 차명계좌가 적발됐다. 금융회사별로는 NH농협은행에 개설된 계좌가 703건(20.3%)으로 가장 많았다. 이어 국민은행 497건(14.3%), 농축협 471건(13.5%), 신한은행 319건(9.2%) 순이었다. 이들 네 곳에서 적발된 차명계좌는 전체의 57.3%(1990건)에 이르렀다. 다음으로 기업은행(277건), 우리은행(270건), 카카오뱅크(241건), 하나은행(185건), iM뱅크(91건), 새마을금고(85건)가 뒤를 이었다. 2020년부터 올해 7월까지 7개년간 국세청에 제보된 차명계좌 건수는 총 7만 8398건이었다. 2020년 1만 2568건, 2021년 1만 743건, 2022년 1만 3988건, 2023년 1만 2961건, 2024년 1만 2769건, 지난해 1만 739건으로 2022년을 정점으로 신고는 점점 감소했다. 차명계좌 신고 이후 세무조사나 서면 확인 등 과세에 활용된 건수는 지난 7개년간 2만 4648건으로 제보 대비 31.4% 수준이었다. 강 의원은 “차명계좌 제보가 이뤄지면 차명계좌 번호와 금융회사명이 기재되는데도 국세청은 그간 사업자 차명계좌 색출 실적을 별도로 관리하지 않았다”면서 “국세청은 최근 차명계좌 신고 건수가 감소한 것을 단순히 코로나19에 따른 경제활동 위축과 국세청의 노력으로 포장했다”고 지적했다. 국세청은 “개별 신고 정보는 정확히 관리하고 있으나, 금융회사별 통계는 관리하지 않고 있다”며 “차명계좌 사용 근절을 위한 다양한 방안을 강구하겠다”고 설명했다.

신한·국민·하나 등 영업 통로 침투정보보호 투자 비중은 10%도 안 돼 금융권 정보 유출사고는 해커가 특정 회사를 겨냥한 것이 아니라 ‘인공지능(AI) 에이전트’로 무차별 공격을 가하며 금융사 보안의 빈틈을 찾아낸 결과로 보인다. 고객의 거래·신용 정보를 관리하는 핵심 금융업무 시스템보다 상대적으로 관리가 소홀했거나 자율 점검 대상인 직원용·업무 지원 시스템이 공격의 통로가 된 것이다. 4일 금융당국에 따르면 지난달 28일부터 이어진 공격으로 대출모집인용 간편 조회서비스(신한은행), 직원용 모바일 업무지원시스템(KB국민은행·부산은행), 영업지원시스템(하나은행) 등에서 고객과 외주 직원의 개인정보가 유출됐다. 현대캐피탈에서도 주택대출 모집인 조회 페이지가 공격받았다. 일부 금융사는 휴대전화 인증 등 본인 확인 없이 대출 신청 내역과 기업 대표 정보를 조회할 수 있도록 서비스를 개발한 것으로 파악됐다. 직원용 모바일 서비스를 누구나 접근할 수 있게 열어둔 경우도 있었다. 홈페이지의 취약점을 이용해 서버에 악성 코드를 설치한 사례도 발견됐다. 기본적인 인증과 보안 시스템이 제대로 작동하지 않은 셈이다. 이억원 금융위원장은 이날 ‘전 금융권 긴급 점검회의’에서 “상대적으로 관리의 관심이 덜 했던 영역이 공격 대상으로 활용된 사례가 확인되고 있다”며 인증 조치 미흡과 업무에 필요한 범위를 넘는 정보 보관·조회 등을 사각지대로 지목했다. 금융감독원의 연례 전자금융기반시설 취약점 점검과 과학기술정보통신부의 주요 정보통신기반시설 점검은 인터넷뱅킹 등 고객의 거래·신용 정보 관련 시스템에 초점을 맞춘다. 이번에 공격받은 외부·업무 지원 시스템 일부는 점검 대상에서 빠져 있다. 금융당국과 은행권 관계자들은 상대적으로 중요도가 낮은 시스템의 보안 점검은 대부분 금융회사 자율에 맡겨져 있다고 설명했다. AI에이전트를 활용한 공격 수법은 빠르게 고도화되지만 금융회사의 보안 투자는 이를 따라가지 못한다는 지적도 나온다. 한국인터넷진흥원(KISA) 정보보호 공시에 따르면 지난해 KB국민·신한·하나·우리은행의 IT 투자액 중 정보보호 투자 비중은 각각 8.15%, 7.96%, 9.02%, 9.06%로 모두 10%를 밑돌았다. 우리은행의 정보보호 투자액은 444억원에서 364억원으로 1년 새 약 18% 줄었다. 신한은행도 IT 투자액은 늘렸지만 정보보호 투자액은 제자리걸음해 비중이 0.67% 포인트 낮아졌다. 한편 경찰청 사이버테러대응수사대는 지난 2일 신한은행 등 해킹 피해가 확인된 금융사를 대상으로 입건 전 조사에 착수했다.

‘사칭 이체’ 책임분담제 대상 제외입증 책임 피해자에 떠넘기기 논란“쿠팡에 티빙, 이번엔 은행까지 개인정보가 빠져나갔다는데 내 정보도 유출된 건 아닌지 불안해요.” 주부 서유진(31)씨는 최근 카드사나 보험사라며 모르는 번호로 걸려오는 광고성 전화가 부쩍 늘어 신경이 쓰인다. 금융권 연쇄 정보 유출로 소비자 불안이 커지고 있다. 은행들은 ‘전액 보상’을 약속했지만, 내 정보를 아는 사기범에게 속아 직접 보낸 돈까지 돌려받을 수 있을까. 4일 금융권에 따르면 해킹 피해를 입은 대부분 은행들은 전액 보상은 물론 보이스피싱 등 2차 소비자 피해도 구제할 수 있다는 입장이다. 하나은행은 이번 정보 유출을 악용한 보이스피싱도 보상 대상에 포함할 방침이다. KB국민은행은 유출 정보로 인한 실질적 2차 피해가 확인되면 배상하고, 신한은행도 고객 피해 확인 시 모두 보상하겠다고 밝혔다. 다만 정보 유출과 송금 피해의 연관성을 어떤 자료와 기준으로 판단할지는 구체적으로 공개하지 않았다. 우려되는 것은 유출 정보를 이용한 ‘일대일 맞춤형 사칭’이다. 신한은행에서는 이름·전화번호뿐 아니라 연소득과 대출 산출 한도까지 빠져나갔다. 사기범이 이런 정보를 대며 은행 직원이나 대출 상담사로 접근하면 고객은 진위를 가려내기 어려워져 속기 쉽다. 현행 은행권 책임분담제는 누가 송금했느냐에 따라 피해자 구제 여부가 갈린다. ‘비대면 금융사고 책임분담기준’에 따라 개인정보 등을 훔친 범인이 피해자 몰래 돈을 이체했다면 요건에 따라 구제를 신청할 수 있다. 반면 사기범에게 속아 고객이 직접 송금한 거래는 대상에서 빠진다. 금융당국은 직접 송금한 보이스피싱 피해도 금융사가 일정 범위에서 배상하는 ‘무과실 배상책임’ 도입을 추진하고 있지만 아직 시행 전이다. 전문가들은 금융사가 보유한 정보가 유출돼 범죄에 쓰였다면 일반적인 보이스피싱과 책임을 달리 봐야 한다고 지적한다. 김상봉 한성대 경제학과 교수는 “유출된 정보를 이용한 사칭으로 이체나 결제 등 피해가 발생했다면 금융사가 전액 보상하는 것이 맞다”며 “정보 유출과 피해 사이의 인과관계 역시 개인에게 입증하라고 할 것이 아니라 정보가 유출된 금융회사가 확인해야 한다”고 말했다.

신한·하나銀 등 동일 IP·中AI 흔적증권·카드·보험사에도 공격 시도李대통령 “철저한 조사·대책 마련을” 최근 발생한 ‘금융권 연쇄 해킹사고’에서 같은 인터넷주소(IP)와 중국어 기반 인공지능(AI) 해킹 도구가 사용된 정황이 확인됐다. 금융당국은 동일 공격 주체가 직원용·업무 지원 시스템 등 상대적으로 보안 관리가 느슨한 영역을 노려 침투를 시도한 것으로 보고 있다. 5대 은행을 넘어 저축은행·캐피털·상호금융에서도 공격이 발생하면서 금융당국은 전 금융권 최고경영자(CEO)를 긴급 소집했다. 4일 금융당국에 따르면 지난달 28일부터 이달 3일까지 신한·하나·KB국민·부산·NH농협·우리은행을 대상으로 한 공격에서 공통된 IP와 유사한 AI 활용 수법이 발견됐다. 당국은 최소 6곳은 동일 주체 공격으로 추정하고 있다. 신한은행에서는 약 2만 5000명, KB국민은행에서는 119명, 하나은행에서는 89명의 고객 정보가 유출됐다. 부산은행에서도 외주 개발직원 11명의 개인정보가 노출됐다. NH농협·우리은행은 공격을 막아 정보 유출로 이어지지 않았다. 동일 주체의 공격으로 추정하는 핵심 근거는 중국어 기반 AI 자율 침투 테스트 플랫폼 ‘아르텍스(ARTEX)’의 흔적이다. AI가 보안 약점을 찾고 공격 결과에 따라 다음 침입 방법을 선택하는 도구로, 여러 금융회사에 IP를 변경해 대량의 자동화 공격을 가한 것으로 보인다. 박상원 금융보안원장은 “공통된 IP에 아르텍스 흔적이 있다”고 설명했다. 다만 아르텍스는 공개된 플랫폼이어서 중국발 공격으로 단정할 수는 없다. 당국은 국제 공조 등을 통해 공격 주체를 확인할 예정이다. 예가람(4만명)·웰컴저축은행(2200건·법인)과 현대캐피탈(146명)에서 발생한 해킹은 IP가 달랐지만 수법은 유사한 것으로 파악됐다. 이들 3곳과 4개 은행에서 공개된 유출 규모를 단순 합산하면 약 6만 7565명이다. 증권·카드·보험사·상호금융에도 공격이 시도됐으나 추가 피해는 아직 확인되지 않았다. 이억원 금융위원장은 이날 이찬진 금융감독원장과 전 금융권 긴급 점검회의를 열고 “AI를 활용한 공격 가능성을 배제할 수 없다”면서 금융권에 최고 수준의 경각심을 주문했다. 이재명 대통령은 현황을 보고받고 “엄중한 인식을 갖고 철저한 조사 및 대책 마련에 만전을 기할 것을 지시했다”고 강유정 청와대 수석대변인이 밝혔다.